Keystone لتدمير 18,835 جهاز بعد تسرب مفتاح المصادقة

ستقوم شركة تصنيع المحافظ المادية Keystone بتدمير 18,835 جهازًا غير مبيع وتعليق شحن الطلبات بعد حادث أمني على الموقع الرسمي. تمكن المهاجم من الوصول إلى بيانات العملاء ومفتاح WebAuth، الذي يُستخدم لمصادقة الجهاز.

وقع الهجوم في 20 أكتوبر 2026، من خلال ثغرة في أداة مراقبة البيانات التابعة لجهة خارجية: قام المهاجم بترقية الامتيازات والوصول إلى المعلومات والمفتاح. أثر التسريب على 25,964 سجلًا للعملاء الذين قدموا طلبات عبر Shopify على الموقع الرسمي من 2024 إلى 2026، بما في ذلك الأسماء وتفاصيل الاتصال وعناوين الشحن ومعلومات الطلب، بالإضافة إلى 12,873 سجلًا لعمليات الدفع غير المكتملة. لم تتأثر المشتريات عبر Amazon والقنوات الأخرى.

تم تسجيل مفتاح WebAuth في الأجهزة أثناء التصنيع ولا يمكن إزالته أو استبداله. يتيح اختراقه نظريًا إنشاء أجهزة مزيفة ستجتاز المصادقة: قد يخطئ العملاء بينها وبين الأجهزة الأصلية ويعرضون أصولهم المشفرة للخطر. أكدت الشركة أن المفتاح لا يشارك في توليد العبارات الأولية أو الحصول على المفاتيح الخاصة أو توقيع المعاملات.

أقرت Keystone بأن بعض البيانات الشخصية تم تخزينها لفترة أطول من الفترة المحددة بسبب فشل في أداة الحذف التلقائي للسجلات: لم تكتشف الشركة الفشل. تم إرسال طلبات لحذف البيانات المنتهية الصلاحية إلى Shopify في 24 أكتوبر، ومن المتوقع الانتهاء منها بحلول 3 نوفمبر. سيتم تقليل سياسة التخزين من 180 إلى 90 يومًا.

ما الذي يجب على العملاء فعله

ذكرت Keystone أن الحادث لم يؤثر على العبارات الأولية أو المفاتيح الخاصة أو بيانات الاعتماد الأخرى للمحفظة أو معلومات الدفع البنكية أو أرقام الوثائق الحكومية، لذا فإن نقل الأصول فقط بسبب التسريب غير ضروري. الأجهزة التي تم تسليمها قبل 20 أكتوبر آمنة إذا اجتازت المصادقة؛ يُنصح العملاء الذين تلقوا جهازًا بالمفتاح القديم بعد هذا التاريخ بالاتصال بالدعم للحصول على تحقق إضافي. حذرت الشركة من المحتالين الذين قد يعرضون "هجرة الأصول" أو يطلبون إعادة الجهاز.

علقت Keystone شحن الطلبات وستنتقل إلى الطلبات المسبقة حتى تبدأ في إصدار الأجهزة بمفتاح جديد. ستستخدم المحافظ الجديدة مفتاح تحقق جديد.

في السابق، تم الكشف عن حادث مماثل من قبل Foundation: أرسل المهاجمون رسائل تصيد احتيالي من نطاقاتها الرسمية. أبلغت الشركة عن أكثر من 23,000 محاولة تصيد واكتشفت نسخًا قديمة من قاعدة البيانات تجاوزت عملية الحذف لمدة 60 يومًا – حوالي 5,600 عنوان بريد إلكتروني و5,200 رقم هاتف.